Reicht es, wenn der Adresslieferant sagt, die Einwilligung liege vor?
Die norwegische Datenschutzbehörde hat am 12. Oktober gegen das Werbetechnik-Unternehmen Xandr 92 Millionen Kronen verhängt, rund 8,6 Millionen Euro. Xandr hatte sich darauf berufen, der ursprüngliche Datensammler habe die Einwilligung eingeholt. Die Behörde ließ das nicht gelten. Wer Kontaktdaten von Dritten bekommt, sollte den Nachweis selbst in der Hand haben.
Am 12. Oktober hat die norwegische Datenschutzbehörde Datatilsynet gegen Xandr, ein Werbetechnik-Unternehmen und früher unter dem Namen AppNexus bekannt, ein Bußgeld von 92 Millionen norwegischen Kronen verhängt. Das ist laut der Mitteilung der Behörde die höchste Strafe, die sie bisher ausgesprochen hat. heise rechnet das auf rund 8,6 Millionen Euro um. Xandr gehört heute zu Microsoft, nicht aber im Tatzeitraum.
Worum es ging
Xandr hat von Juli 2018 bis April 2020 Daten von Nutzern der Dating-App Grindr in Norwegen verarbeitet und weitergegeben, darunter Hinweise auf die sexuelle Orientierung. Das lief über Echtzeitauktionen für Werbung. Der Bescheid ist nicht rechtskräftig: Xandr hat drei Wochen Zeit für einen Einspruch.
Der Satz, der für Betriebe zählt
Xandr hatte argumentiert, Grindr habe die Einwilligung eingeholt. Datatilsynet ließ das nicht gelten. Jedes Unternehmen müsse selbst sicherstellen und nachweisen können, dass es die Daten verwenden darf. Xandr hatte die Einwilligungen nicht geprüft.
Der Fall ist weit weg von einem Mittelständler: sensible Daten, Tausende Empfänger, ein anderes Land. Ob deutsche Aufsichtsbehörden ebenso entscheiden würden, ist offen. Die Frage dahinter kennt aber jeder Betrieb, der Kontaktdaten von außen bekommt. Der Lieferant sagt, die Einwilligung liege vor. Reicht das?
Eine Stunde, die zeigt, was Sie nachweisen können
Schreiben Sie alle Quellen auf, aus denen Kontakte in Ihr System kommen, die nicht aus einem eigenen Formular stammen: gekaufte oder gemietete Listen, Leadportale, Kooperationspartner, Messeveranstalter, die Kundenliste, die Sie für Werbung hochladen. Schicken Sie jeder Quelle dieselbe Frage: Wann und mit welchem Wortlaut wurde die Einwilligung eingeholt, und können Sie mir den Nachweis für diese Adressen schicken?
Zählen Sie nach zwei Wochen, wie viele Quellen mit einem Nachweis geantwortet haben. Die Antwort ist selten angenehm. Warum eine Einwilligung oft keine ist, steht in Die Einwilligung, die keine ist. Bei einer hochgeladenen Kundenliste fragt Können wir unsere Kundenliste für Werbung in ChatGPT nutzen? dasselbe an einem anderen Ort.
Wo Octoserv hilft
In Octoserv lässt sich jeder Kontakt mit eigenen Feldern anlegen (Kontakte und Firmen). Dort können Sie je Kontakt festhalten, woher er stammt, wann und wie er zugestimmt hat. Dann beantworten Sie die Frage der Behörde oder eines Kunden am Kontakt selbst und müssen nicht den Lieferanten suchen. Was ein Feld nicht ersetzt: den Nachweis, den Ihnen die Quelle liefern muss.
Woran Sie merken, dass es ernst wird
Abwarten ist vertretbar, bis Xandr seinen Einspruch eingelegt oder die Frist verstreichen lassen hat. Wichtiger ist, was Sie vorher selbst klären können. Ob eine Quelle für Ihre Daten reicht, gehört in die Hand einer fachlichen Prüfung, nicht in einen Magazinbeitrag.
Häufige Fragen
Was hat die norwegische Datenschutzbehörde entschieden?
Datatilsynet hat am 12. Oktober 2026 gegen Xandr ein Bußgeld von 92 Millionen norwegischen Kronen verhängt, rund 8,6 Millionen Euro. Xandr hat von Juli 2018 bis April 2020 sensible Daten von Grindr-Nutzern in Norwegen ohne Rechtsgrundlage verarbeitet und weitergegeben. Der Bescheid ist nicht rechtskräftig.
Warum ließ die Behörde das Argument von Xandr nicht gelten?
Xandr hatte sich darauf berufen, Grindr habe die Einwilligung eingeholt. Nach Datatilsynet muss jedes Unternehmen selbst sicherstellen und nachweisen können, dass es Daten verwenden darf. Die Verantwortung lässt sich nicht an andere abgeben. Xandr hatte die Gültigkeit der Einwilligungen nicht geprüft.
Gilt das auch für einen Betrieb in Deutschland?
Der Bescheid gilt nur in Norwegen und für Xandr. Ob deutsche Aufsichtsbehörden in einem vergleichbaren Fall ebenso entscheiden würden, ist offen. Die Frage, ob man sich auf die Zusage eines Lieferanten verlassen darf, stellt sich für jeden Betrieb, der Kontaktdaten von außen bekommt. Sie gehört in eine fachliche Prüfung.
Was kann ich mit gekauften Adressen oder Leadportalen tun?
Alle Quellen aufschreiben, die nicht aus eigenen Formularen stammen, und jeder Quelle dieselbe Frage stellen: Wann und mit welchem Wortlaut wurde die Einwilligung eingeholt, und kann sie den Nachweis für diese Adressen liefern? Nach zwei Wochen zählen, wer geantwortet hat. Das kostet etwa eine Stunde und zeigt, was Sie belegen können.
Ist der Bescheid gegen Xandr schon endgültig?
Nein. Xandr hat nach der Mitteilung von Datatilsynet drei Wochen ab Erhalt des Bescheids Zeit, Einspruch einzulegen. Das Bußgeld bemisst sich am Umsatz von Xandr selbst, nicht am Umsatz von Microsoft, weil Xandr im Tatzeitraum noch nicht zu Microsoft gehörte.
